ISO 27001 vs ISO 27002
Da es sich bei ISO 27000 um eine Reihe von Normen handelt, die von ISO initiiert wurden, um die Sicherheit innerhalb der Organisationen weltweit zu gewährleisten, lohnt es sich, den Unterschied zwischen ISO 27001 und ISO 27002 zu kennen, zwei der Normen in der ISO 27000-Reihe. Diese Standards wurden zum Nutzen der Organisationen und zur Bereitstellung eines qualitativ hochwertigen Service für die Kunden eingeführt. Dieser Artikel analysiert die Unterschiede zwischen ISO 27001 und ISO 27002.
Was ist ISO 27001?
Die Norm ISO 27001 soll die Informationssicherheit und den Datenschutz in Organisationen weltweit gewährleisten. Dieser Standard ist für Unternehmensorganisationen so wichtig, um ihre Kunden und vertraulichen Informationen der Organisation vor Bedrohungen zu schützen. Die Implementierung des Informationssicherheits-Managementsystems würde Qualität, Sicherheit, Service und Produktzuverlässigkeit der Organisation gewährleisten, die auf höchstem Niveau geschützt werden können.
Das Hauptziel des Standards besteht darin, Anforderungen für die Einrichtung, Implementierung, Wartung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS) bereitzustellen. In den meisten Unternehmen entscheidet das Top-Management über die Übernahme dieser Art von Standards. Das Erfordernis eines solchen Informationssicherheitssystems für die Organisation ergibt sich auch aus verschiedenen Faktoren wie organisatorischen Zielen, Sicherheitsanforderungen, Größe und Struktur der Organisation usw.
In der vorherigen Version des Standards aus dem Jahr 2005 wurde er auf der Grundlage des PDCA-Zyklus, des Plan-Do-Check-Act-Modells zur Strukturierung der Prozesse, entwickelt, um die in den OECG-Richtlinien festgelegten Grundsätze widerzuspiegeln. Die neue Version im Jahr 2013 konzentriert sich auf die Messung und Bewertung der Effektivität der organisatorischen Leistung in ISMS. Es wurde auch ein Abschnitt zum Thema Outsourcing aufgenommen, und die Informationssicherheit in Organisationen wird stärker konzentriert.
Was ist ISO 27002?
Die Norm ISO 27002 wurde ursprünglich als Norm ISO 17799 entwickelt, die auf dem Verhaltenskodex für Informationssicherheit basiert. Es werden verschiedene Sicherheitskontrollmechanismen für Organisationen unter Anleitung von ISO 27001 hervorgehoben.
Der Standard wurde basierend auf verschiedenen Richtlinien und Prinzipien für die Initiierung, Implementierung, Verbesserung und Aufrechterhaltung des Informationssicherheitsmanagements innerhalb einer Organisation festgelegt. Die tatsächlichen Kontrollen in der Norm adressieren spezifische Anforderungen durch eine formelle Risikobewertung. Der Standard besteht aus spezifischen Richtlinien für die Entwicklung von Sicherheitsstandards für Organisationen und effektiven Sicherheitsmanagementpraktiken, die hilfreich sind, um Vertrauen in organisationsübergreifende Aktivitäten aufzubauen.
Die bestehende Version der Norm wurde 2013 als ISO 27002: 2013 mit 114 Kontrollen veröffentlicht. Der wichtigste zu beachtende Faktor ist, dass im Laufe der Jahre eine Reihe branchenspezifischer Versionen von ISO 27002 in Bereichen wie Gesundheitssektor, Fertigung usw. entwickelt wurden oder sich in der Entwicklung befinden.
Was ist der Unterschied zwischen ISO 27001 und ISO 27002?
• Die Norm ISO 27001 drückt die Anforderungen an das Informationssicherheitsmanagement in Organisationen aus, und die Norm ISO 27002 bietet Unterstützung und Anleitung für diejenigen, die für die Initiierung, Implementierung oder Wartung von Informationssicherheitsmanagementsystemen (ISMS) verantwortlich sind.
• ISO 27001 ist ein Prüfungsstandard, der auf überprüfbaren Anforderungen basiert, während ISO 27002 ein Implementierungsleitfaden ist, der auf Best-Practice-Vorschlägen basiert.
• ISO 27001 enthält eine Liste der Verwaltungskontrollen für die Organisationen, während ISO 27002 eine Liste der Betriebskontrollen für die Organisationen enthält.
• ISO 27001 kann zur Prüfung und Zertifizierung des Informationssicherheits-Managementsystems der Organisation verwendet werden, und ISO 27002 kann zur Bewertung der Vollständigkeit des Informationssicherheitsprogramms einer Organisation verwendet werden.
Bildzuordnung: "CIAJMK1209" von John M. Kennedy T. (CC BY-SA 3.0)
